Certification
Certificat ISO/IEC 27001:2022
Système de management de la sécurité de l’information certifié par INTERCERT (n° IC-IS-2505209). Vérifiable en ligne.
Vous nous confiez les données de vos chantiers. Kraaft les protège avec les plus hauts standards du secteur - certification ISO/IEC 27001, hébergement 100 % en Union Européenne et conformité RGPD. Voici, en toute transparence, nos certifications, nos pratiques et nos preuves.
L’ensemble de nos documents de conformité vous est transmis sur simple demande. Indiquez-nous ceux dont vous avez besoin : notre équipe sécurité vous répond dans les meilleurs délais.
Système de management de la sécurité de l’information certifié par INTERCERT (n° IC-IS-2505209). Vérifiable en ligne.
Pentest complet (mobile, web, backend) réalisé en 2025 par un prestataire qualifié PASSI par l’ANSSI.
Document de référence détaillant l’ensemble de nos mesures techniques et organisationnelles. Version 1.4.
Notre PSSI alignée sur la norme ISO/IEC 27001, socle de notre Système de Management de la Sécurité de l’Information.
Encadre le traitement des données personnelles réalisé par Kraaft pour le compte de ses clients, conformément à l’article 28 du RGPD.
Liste complète de nos sous-traitants, leurs finalités, localisations et garanties contractuelles (DPA). Revue annuellement.
Notre programme de divulgation responsable. Toute recherche de bonne foi et conforme à la politique ne donnera lieu à aucune poursuite.
Règles d’archivage et de suppression appliquées selon le principe de minimisation prévu par le RGPD.
Couverture cyber-risques souscrite auprès de STOIK, en vigueur pour la période 2026-2027.
Notre politique de sécurité repose sur quatre piliers : la confidentialité, l’intégrité, la disponibilité et la conformité de vos données - à chaque étape.
Notre Plan d’Assurance Sécurité couvre l’ensemble des domaines de la norme ISO/IEC 27001. Voici les contrôles continuellement pilotés dans notre programme de conformité.
Politique de sécurité, rôles définis (RSSI, CTO, Président) et comité des risques trimestriel.
Registre des risques revu chaque trimestre, matrice menaces × actifs × impact et plan de traitement.
Moindre privilège, MFA, identifiants nominatifs, accès tracés et limités dans le temps, RBAC applicatif.
AES-256 au repos, TLS 1.3 en transit, gestion hiérarchique des clés via Google Cloud KMS.
Isolation VPC, pare-feu « deny-by-default », WAF Cloud Armor, rate limiting, bastion IAP.
Tests unitaires & e2e, QA systématique, CI/CD automatisée, formation OWASP des développeurs.
Surveillance automatique, application des correctifs et test d’intrusion annuel par un prestataire qualifié PASSI.
Journaux de connexion, d’audit et applicatifs, immuables, conservés 180 jours (Google Cloud Logging).
Analyse d’impact (BIA), infrastructure redondée, sauvegardes quotidiennes, DRP testé annuellement.
Cellule de crise (CSIRT), notification interne sous 2 h, analyse « 5 pourquois » et RETEX.
Due diligence, pré-filtre RGPD, DPA obligatoire et réévaluation au moins annuelle.
Onboarding sécurité, formations Bastion & OWASP, simulations de phishing, sessions hebdomadaires.
Kraaft s’appuie intégralement sur Google Cloud Platform, avec une redondance multi-région au sein de l’Union Européenne pour garantir la disponibilité et la souveraineté de vos données.
Chaque sous-traitant est sélectionné après une analyse RGPD, encadré par un accord de traitement des données (DPA) et réévalué au moins annuellement. Les clients sont informés de tout ajout et disposent de 30 jours pour s’y opposer.
Traitement des données de l’application (chantiers & utilisateurs) - Kraaft agit comme sous-traitant
| Sous-traitant | Finalité | Localisation |
|---|---|---|
GGoogle Cloud Platform | Hébergement des données applicatives, bases de données et fichiers | Union Européenne |
MMistral AI | Modèles de langage (IA générative) pour les fonctions d’analyse | France |
GeGoogle Gemini | Transcription et traitement vocal des messages audio | Union Européenne |
InIntercom | Plateforme de support client intégrée à l’application | UE / DPF |
TwTwilio | Envoi de SMS et de codes de vérification (OTP) pour l’authentification | UE / DPF |
Traitement des données commerciales & marketing (clients & prospects) - Kraaft agit comme responsable de traitement
| Sous-traitant | Finalité |
|---|---|
HuHubSpot | Gestion de la relation client (CRM) |
AiAircall | Téléphonie et gestion des communications vocales |
BrBrevo | Envoi de communications email (newsletters & emails transactionnels) |
n8n8n | Automatisation de workflows et orchestration de services |
MeMetabase | Visualisation et analyse de données internes |
En cas d’incident de sécurité, une cellule de crise est mobilisée et des engagements de délais s’appliquent selon la criticité. Ces délais figurent dans notre Plan d’Assurance Sécurité.
| Criticité | Prise en compte | Contournement | Résolution |
|---|---|---|---|
| Majeur | ≤ 1 jour ouvré | ≤ 2 jours ouvrés | ≤ 3 jours ouvrés |
| Moyen | ≤ 2 jours ouvrés | ≤ 5 jours ouvrés | ≤ 30 jours |
| Mineur | ≤ 10 jours ouvrés | ≤ 30 jours | ≤ 90 jours |
Nous ne collectons que les données strictement nécessaires au fonctionnement de Kraaft, et nous appliquons le principe de minimisation à chaque étape de leur cycle de vie.
Les demandes sont adressées via l’administrateur de votre entreprise. Notre DPO reste joignable à dpo@kraaft.co.
Certifié depuis mai 2025 par INTERCERT (n° IC-IS-2505209). Audits de surveillance annuels, recertification triennale.
✓ Vérifiable sur intercert.com
Conformité au règlement (UE) 2016/679 et à la loi Informatique & Libertés. Privacy by design & by default.
✓ DPO interne
Médaille Gold avec un score de 913 / 1000 à l’évaluation indépendante de notre maturité en cybersécurité.
✓ Médaille Gold · 913 / 1000
La sécurité chez Kraaft est pilotée en interne par des responsables nommés et un comité des risques trimestriel. Notre équipe technique de 8 personnes est intégralement internalisée - aucune sous-traitance du développement.
Contacts : security@kraaft.co · dpo@kraaft.co
Identification de la société, hébergement des données et documents contractuels publiés en toute transparence.
Siège social
4 Passage de la Râpe, 45000 Orléans, France
Bureau
14 rue d’Uzès, 75002 Paris, France
Google Cloud Platform - Union Européenne
Saint-Ghislain (Belgique) · Eemshaven (Pays-Bas)